CVE-2026-100535 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npmパッケージ 'openclaw') のバージョン >= 2026.4.5 および < 2026.8.1 では、セッション由来のテキストがセッションメモリに永続化される際に、元の要求者の制限や信頼できないプロベナンス（出所情報）を失う可能性があります。セッションメモリのキャプチャと「dreaming」（非同期バックグラウンド処理）機能が有効なデプロイメント環境では、限られたツールでメッセージの受信が許可された外部送信者が指示を永続化でき、その後、より広範なファイルおよびコマンド実行権限を持つ無監視型バックグラウンド（dreaming）エージェントにその指示が渡されることで、元のセッションでの権限を超えた操作が可能になり、当該エージェントがアクセス可能なファイル、コマンド、またはサービスに影響を与えます。攻撃には、コンテンツのキャプチャ、後続処理のための選択、およびモデルによる実行が必要です。この問題はバージョン 2026.8.1 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.